Laravel嵌套浅层资源授权策略：保障数据安全

2024-11-09 20:27:37

Laravel 嵌套浅层资源的授权策略

在 Laravel 应用中，使用嵌套浅层资源时，权限控制需要格外注意。本文将探讨如何为这类资源设置合适的授权策略，确保只有具备权限的用户才能访问。以 leases 和 invoices 资源为例，演示如何限制访问特定 lease 下的 invoices 和 invoices 本身。

理解问题

当使用 shallow 选项定义嵌套资源路由时，Laravel 会生成简洁的路由，例如 /invoices/{invoice}，而不会包含父级资源 leases/{lease} 的信息。这使得在 InvoicePolicy 的 viewAny 方法中，无法直接访问 $lease 对象，从而难以判断用户是否具备访问该 lease 下 invoices 的权限。同样的问题也会出现在其他嵌套在 lease 下的资源，例如 files。

解决方案一：通过路由中间件进行授权

最直接的解决方案是使用路由中间件。通过中间件，我们可以捕获路由参数，并根据这些参数进行授权检查。

创建中间件:

php artisan make:middleware CheckLeaseAccess

实现中间件逻辑:

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use App\Models\Lease;

class CheckLeaseAccess
{
    public function handle(Request $request, Closure $next)
    {
        $leaseId = $request->route('lease'); // 获取 lease 的 ID
        if ($leaseId) { // 如果路由中存在 lease 参数
            $lease = Lease::findOrFail($leaseId);
            $user = $request->user();
            $team = $lease->property->team;

            if (!$user->belongsToTeam($team) || !$user->isCurrentTeam($team)) {
                abort(403); // 或者其他错误处理
            }
        }

        return $next($request);
    }
}

注册中间件: 在 Kernal.php 的 $routeMiddleware 中注册中间件。

    protected $routeMiddleware = [
        // ...
        'check.lease' => \App\Http\Middleware\CheckLeaseAccess::class,
];

应用中间件: 将中间件应用到需要授权的路由。

Route::resource('leases.invoices', InvoiceController::class)
    ->only(['index', 'show'])
    ->shallow()
    ->middleware('check.lease');

Route::resource('leases.files', FileController::class)
    ->only(['index'])
    ->shallow()
    ->middleware('check.lease');

解决方案二：自定义授权逻辑

可以略过 viewAny 方法，直接在 InvoiceController 的 index 方法中进行授权检查。这种方法更加灵活，可以根据实际情况进行更细粒度的控制。

修改 InvoiceController:

<?php
 // ...
use App\Models\Lease;
 // ...

public function index(Lease $lease)
{
    $this->authorize('viewAny', [$lease]); // 传递 $lease 对象到 Policy
    // ...
}

 // ...

修改 InvoicePolicy:

public function viewAny(User $user, $arguments)
{

     $lease = $arguments[0];
     $team = $lease->property->team;
     return $user->belongsToTeam($team) && $user->isCurrentTeam($team);

}


public function view(User $user, Invoice $invoice)
{
    $team = $invoice->lease->property->team;
    return $user->belongsToTeam($team) && $user->isCurrentTeam($team);
}